Consultants für Penetration Testing greifen im Auftrag von Unternehmen deren IT-Systeme, Netzwerke und Anwendungen gezielt an, um Sicherheitslücken zu finden, bevor Kriminelle sie ausnutzen. Sie dokumentieren die Schwachstellen und beraten zu deren Behebung.
4 offene Stellen zu diesem Beruf im aktuellen Bestand.
6.000 Euro brutto im Monat sind der mittlere Verdienst mit Berufserfahrung. Über alle Erfahrungsstufen reicht die Spanne von 3.800 bis 9.500 Euro.
| Erfahrung | Von | Median | Bis | Jahresbrutto | Verhältnis |
|---|---|---|---|---|---|
| Berufseinstieg | 3.800 € | 4.500 € | 5.300 € | 54.000 € | |
| Mit Berufserfahrung | 5.000 € | 6.000 € | 7.200 € | 72.000 € | |
| Mit langjähriger Erfahrung | 6.500 € | 7.800 € | 9.500 € | 93.600 € |
Die Gehälter werden überwiegend frei verhandelt und hängen stark von Zertifikaten, Spezialisierung und Arbeitgeber ab: Große Beratungen, Banken und Konzerne in München, Frankfurt oder Stuttgart zahlen deutlich mehr als kleine Dienstleister. Im öffentlichen Dienst, etwa beim BSI, gilt der TVöD Bund, bei Landesbehörden der TV-L, mit niedrigeren, aber festen Gehältern und teils IT-Fachkräftezulagen.
Die Werte sind Orientierungswerte und keine amtliche Statistik. Sie sind aus öffentlich verfügbaren Erhebungen, Tarifwerken und Stellenanzeigen abgeleitet und auf volle Euro gerundet. Im Einzelfall entscheiden Betrieb, Tarifbindung, Region, Qualifikation und Verhandlung – die Abweichung nach oben wie nach unten kann erheblich sein.
Das Jahresbrutto ist das 12-fache des Monatswertes. Urlaubs- und Weihnachtsgeld sind nicht enthalten, weil sie sich von Branche zu Branche unterscheiden.
Ein Consultant Penetration Testing prüft im Auftrag eines Kunden, wie gut dessen IT gegen Angriffe geschützt ist. Vor jedem Test wird schriftlich festgelegt, welche Systeme angegriffen werden dürfen, in welchem Zeitraum und mit welchen Methoden. Danach folgt die eigentliche Arbeit: Netzwerke scannen, Webanwendungen auf Fehler wie SQL-Injection oder unsichere Authentifizierung untersuchen, Konfigurationen von Servern und Cloud-Diensten prüfen, Passwörter knacken, manchmal auch mit Phishing-Mails oder vor Ort testen, ob Mitarbeitende Unbekannte ins Gebäude lassen. Werkzeuge wie Burp Suite, Nmap oder Metasploit gehören zum Alltag, oft schreiben Tester aber eigene Skripte. Ein großer Teil der Arbeitszeit fließt in den Bericht: Jede gefundene Schwachstelle wird nachvollziehbar beschrieben, nach Risiko bewertet und mit Empfehlungen zur Behebung versehen. Anschließend werden die Ergebnisse mit IT-Abteilung und Management besprochen, häufig auch in Nachtests überprüft.
Einen geregelten Ausbildungsweg gibt es nicht. Viele kommen über ein Studium der Informatik, Wirtschaftsinformatik oder IT-Sicherheit, das an einigen Hochschulen als eigener Studiengang angeboten wird. Ebenso verbreitet ist der Weg über eine Ausbildung zum Fachinformatiker oder zur Fachinformatikerin für Systemintegration oder Anwendungsentwicklung, gefolgt von einigen Jahren in Administration oder Softwareentwicklung. Entscheidend ist nachweisbares Können. Arbeitgeber achten auf praxisnahe Zertifikate wie OSCP, auf Erfolge bei Capture-the-Flag-Wettbewerben oder auf gemeldete Schwachstellen in Bug-Bounty-Programmen. Quereinsteiger ohne IT-Hintergrund brauchen in der Regel mehrere Jahre intensiven Selbststudiums, bevor eine Einstiegsstelle realistisch ist.
Die Arbeit verlangt breites technisches Wissen über Betriebssysteme, Netzwerke, Programmiersprachen und Webtechnologien, das sich ständig verändert. Wer nicht kontinuierlich in der Freizeit weiterlernt, fällt zurück. Projekte sind eng getaktet, oft stehen für einen Test nur wenige Tage zur Verfügung, und der Kunde erwartet trotzdem gründliche Ergebnisse. Das Schreiben langer, präziser Berichte empfinden viele als den mühsamsten Teil. Tests an produktiven Systemen finden teils abends oder am Wochenende statt, dazu kommen Reisen zu Kunden. Rechtlich bewegt sich der Beruf nah an Straftatbeständen des Computerstrafrechts, deshalb sind Sorgfalt bei Auftragsgrenzen und absolute Verschwiegenheit Pflicht. Viele Arbeitgeber verlangen ein einwandfreies Führungszeugnis, für Behördenaufträge auch eine Sicherheitsüberprüfung. Hinzu kommt der Druck, Ergebnisse verständlich und diplomatisch zu vermitteln, wenn sie für die Verantwortlichen unangenehm sind.
Die Nachfrage ist hoch und dürfte es bleiben. Gesetzliche Vorgaben wie NIS2, DORA im Finanzsektor und Anforderungen von Versicherern zwingen immer mehr Unternehmen zu regelmäßigen Sicherheitsprüfungen, während erfahrene Fachkräfte knapp sind. Der Einstieg ist dennoch nicht leicht, weil viele Firmen bevorzugt erfahrene Tester suchen und Juniorstellen begrenzt sind. Mit wachsender Erfahrung bieten sich Spezialisierungen etwa auf Cloud-Sicherheit, Industrieanlagen, Mobile Apps oder Red Teaming an, bei dem über Wochen realistische Angriffe simuliert werden. Weitere Wege führen in die Leitung eines Testteams, in die Sicherheitsberatung auf Managementebene, in interne Sicherheitsabteilungen großer Konzerne oder in die Selbstständigkeit.
Üblich ist ein Bachelor- oder Masterstudium in Informatik oder IT-Sicherheit (drei bis fünf Jahre) oder eine dreijährige Ausbildung zum Fachinformatiker mit anschließender Berufserfahrung in Administration oder Entwicklung. Den Ausschlag für den Einstieg geben meist Praxiszertifikate wie OSCP, die in mehreren Monaten Vorbereitung erworben werden, sowie nachweisbare Erfahrung aus Wettbewerben oder Bug-Bounty-Programmen.
Fachinformatiker für Systemintegration planen, installieren und betreiben IT-Systeme und Netzwerke und sind die Praktiker der IT-Infrastruktur.
Informationssicherheitsbeauftragte planen, steuern und überwachen den Schutz von Informationen in einer Organisation. Sie bauen ein Informationssicherheits-Managementsystem auf, bewerten Risiken und sorgen dafür, dass Vorgaben wie ISO 27001, BSI-Grundschutz oder NIS2 eingehalten werden.
jobs-jobs-jobs.de verwendet nur die Cookies, die für den Betrieb der Seite nötig sind. Zur Reichweitenmessung nutzen wir Matomo auf unserem eigenen Server – ohne Cookies und mit gekürzter IP-Adresse. Keine Werbenetzwerke. Einzelheiten stehen in der Datenschutzerklärung.